“Numérique France Garanti” (NFG) : une marque de garantie au service de la souveraineté numérique
Cloud, messagerie, visioconférence, gestion de projet : le numérique est présent dans tous ces usages, personnels comme professionnels. Mais à qui appartiennent vraiment ces outils devenus indispensables et que deviennent toutes les données stockées par ces applications ? Face aux risques, « Origine France Garantie » lance, en partenariat avec Bureau Veritas la marque de garantie « Numérique France Garanti », un référentiel qui transforme la promesse de souveraineté numérique en réalité. Explications.
C’est un réveil brutal, une prise de conscience soudaine d’une guerre numérique invisible. Mi-juin, sur décision de la Maison-Blanche, les utilisateurs européens sont interdits d’accès à certains modèles d’IA du géant Anthropic. Raison invoquée ? Des motifs de sécurité nationale américaine. Mais cette décision souligne surtout la forte dépendance de la France et de l’Europe aux outils numériques étrangers. Du jour au lendemain, une puissance étrangère peut ainsi priver des millions d’utilisateurs d’outils intégrés à leur quotidien, voire mettre à l’arrêt des pans entiers de l’économie.
« Il y a 15 ans, personne ne se préoccupait de souveraineté, se souvient Julien Bréjot, responsable d’opérations Certifications Origine France Garantie et Service France Garanti chez Bureau Veritas. Il n’était pas rare que notre engagement en faveur du made in France soit perçu comme excessif ou à contre-courant. Si les enjeux du sujet sont désormais bien compris pour les domaines industriels notamment, ils le sont beaucoup moins pour le numérique. »
Pourquoi faire le choix de la souveraineté numérique
La réalité de la souveraineté numérique reste complexe. Ainsi, passer par une société de droit français ne garantit rien. « Les outils restent souvent hébergés par des géants américains ou chinois, des puissances privées qui dépendent d'un État, rappelle Mathilde Janichon, gestionnaire technique de l’association Origine France Garantie. Avec des risques de coupure subite comme nous l’avons vu avec Claude.ai récemment. »
L’autre risque est juridique. Par exemple, les données hébergées par un acteur américain sont soumises au Cloud Act. Une loi qui oblige les entreprises américaines du numérique à livrer aux autorités de leur pays les données qu'elles hébergent, même stockées hors des États-Unis. Si le serveur se trouve en France mais est exploité par un hébergeur américain, les données peuvent donc être transmises, en violation du RGPD.
« Il ne faut pas non plus négliger l’enjeu économique, poursuit Gilles Attaf, Président de l’association Origine France Garantie. Chaque année, 70 milliards d’euros de flux financiers partent vers les États-Unis pour payer ces différents outils. Autant d’argent qui pourrait, au moins en partie, irriguer l'économie française plutôt que rémunérer des licences outre-Atlantique. »
Enfin, le dernier enjeu touche à la sécurité. « La data est un trésor, rappelle Julien Bréjot. Les piratages révélés cet été, notamment celui de la DGFiP, sont des exemples flagrants de l’ampleur des cyberattaques que subit notre pays. Qui sait quelle exploitation pourrait être faite des données volées ? Protéger ces données n’est donc pas une option, c’est une obligation. »
Pour aller plus loin :
Un référentiel sur la souveraineté numérique à partir du terrain
Face à ce défi, Bureau Veritas et Origine France Garantie ont donc construit conjointement le référentiel “Numérique France Garanti”, avec l’appui d’un comité de seize entreprises représentatives de l'écosystème numérique français : infrastructures, logiciels, cybersécurité. « Nous avons travaillé sur une grille avec nos experts informatiques et les entreprises ont apporté leur vision terrain, raconte Séverine Gaubert, responsable développement business & Innovation de Bureau Veritas. Plusieurs réunions ont permis de bâtir ensemble le référentiel, avec un objectif assumé : ne pas se contenter d'une approche déclarative, mais aller vérifier, jusque dans le code et l'open source, où se niche la vraie dépendance technologique. »
Le référentiel repose sur trois critères cumulatifs. D'abord la gouvernance : les décisions stratégiques et technologiques doivent rester françaises, quelle que soit la structure capitalistique de l'entreprise. Ensuite l'hébergement des données doit, quant à lui, être tracé sur toute la chaîne (data center, serveurs, exploitation) pour qu'aucun acteur extraterritorial ne puisse y accéder. Enfin la valeur ajoutée : comme avec Origine France Garantie, un logiciel doit prendre au moins 60 % de sa valeur en France, et 50 % pour les data centers, calcul établi sur la base des dépenses opérationnelles.
Vers une souveraineté à l’échelle européenne
Ce triptyque répond à un vrai besoin : distinguer ce qui est réellement français de ce qui ne l'est que sur le papier. Être une société de droit français, ou même se prévaloir de la French Tech, ne garantit en rien une maîtrise technologique réelle. Concrètement, l'audit associe des contrôleurs de gestion, qui vérifient la cohérence des documents et données soumises à analyse et des experts informatiques, qui décryptent l’ensemble de la chaîne de code. « Nous nous appuyons sur un principe de réalité, défend Julien Bréjot. Sous-traiter à l’étranger une partie de code non stratégique n’a bien sûr pas le même poids qu’un développement majeur ». Six entreprises testent aujourd'hui ce référentiel pilote V0, avant sa validation et une ouverture plus large fin 2026.
Le sujet dépasse déjà les frontières françaises. « Nous sommes en train de discuter avec la Commission européenne d’une reconnaissance », confirme Séverine Gaubert. Origine France Garantie revendique clairement ce rôle de pionnier : des initiatives allemandes existent déjà en la matière, mais la France reste la seule à avoir bâti un référentiel aussi abouti. « Il existe un réel engouement avec un virage de souveraineté au niveau européen, et l’idée de construire un ‘’nutriscore européen’’ du numérique » conclut Gilles Attaf.
Les pilotes du Numérique France Garanti
Jamespot et Inersio n'ont pas seulement testé le référentiel : elles ont aussi participé à sa construction, aux côtés de Bureau Veritas et d'Origine France Garantie.
Jamespot, la maîtrise de bout en bout
Pascal Baratoux, RSSI de Jamespot, éditeur français de solutions collaboratives
« La souveraineté numérique, ce n'est pas être français sur le papier : c'est maîtriser toute la chaîne de valeur en France : développement, production, hébergement, maintenance. Chez Jamespot, plus de 90 % de la valeur est créée en France, avec des hébergeurs comme OVH, Outscale ou Scaleway.
Cette question est cruciale pour trois raisons. D'abord le RGPD : les entreprises américaines, soumises au Cloud Act, ne peuvent pas le respecter pleinement. Ensuite le vendor lock-in, qui piège les entreprises chez les géants américains. Enfin le risque de coupure, comme on l'a vu pendant le Covid ou récemment avec Anthropic. Face à ces risques, en complément de nos offres collaboratives classiques, nous proposons l’offre RéZlience pour assurer une continuité de service. Si la démarche de souveraineté est réelle, la marque de garantie NFG est facile à obtenir et demande peu de travail. C’est une reconnaissance et de la visibilité auprès de tout l’écosystème qui entend bouleverser ses habitudes et modifier ses manières de travailler. »
Inersio, la donnée jusqu'au matériel
Raynaut Escorbiac, fondateur d’Inersio, entreprise française de développement d'applications web et mobiles.
« La souveraineté numérique, ce n'est pas qu'une affaire de code : derrière le cloud, il y a toujours un lieu, des machines, une chaîne qu'il faut pouvoir tracer sans rupture. Chez Inersio, nous gardons la main sur toute cette chaîne, des hébergeurs jusqu’à ceux qui exploitent les serveurs, pour être certains qu'aucun acteur étranger, soumis aux lois de son pays, n'ait accès à la donnée.
C'est le même principe qu'Origine France Garantie et l’exemple de la semelle : une chaussure assemblée en France avec une semelle importée ne peut pas être certifiée. Pour nous, c'est pareil : une majeure partie de la valeur doit être produite en France.
Le marque de garantie NFG ne garantit pas la qualité du produit, seulement qu'il est conçu et hébergé en France. Mais c'est déjà une reconnaissance précieuse. »
FAQ – Vos questions sur la souveraineté numérique
-
Comment obtenir la marque de garantie NFG ?
L'entreprise dépose un dossier de candidature décrivant sa chaîne de valeur : capital, fournisseurs, salariés, hébergeurs. Les équipes de Bureau Veritas mènent un audit documentaire, puis des vérifications détaillées de chaque preuve (facture, contrat, certificat d'hébergement).
-
NFG garantit-il aussi la sécurité informatique de l'entreprise ?
Non. La marque de garantie NFG atteste que la gouvernance et la chaîne de valeur sont françaises, pas que les systèmes sont infaillibles. Une entreprise NFG peut aussi être certifiée ISO 27001 ou SecNumCloud pour sa sécurité : ce sont des démarches distinctes et complémentaires, pas redondantes l'une avec l'autre.
-
Quel est le rôle de Bureau Veritas dans Numérique France Garanti ?
Bureau Veritas a contribué à la construction du référentiel et assure l'audit indépendant, seule garantie de crédibilité de la démarche. Bureau Veritas croise deux expertises : des contrôleurs de gestion, rompus au contrôle des coûts et de la valeur ajoutée depuis « Origine France Garantie », et des experts informatiques capables de tracer une chaîne de code jusqu'à l'open source.
